fix(schema): turn the deserializer's silent sinks into named errors - #161

Round 4, vague B — lot schéma & serde, 9 constats vérifiés.

Chacun est un puits silencieux : une valeur légitime — souvent celle que le CSS ferait écrire — avalée sans un mot, produisant un rendu faux plutôt qu'une erreur. Un LLM ne lit pas la sortie de serde : il pose un champ, rien ne proteste, il en conclut que c'est pris en compte.

Le troisième puits du fond noir

Le brief nommait deux puits et demandait de trouver le troisième en lisant la fonction. Il existe : colors et gradient_type étaient parsés en .ok().unwrap_or_default() même avec un preset correctement orthographié. Un colors absent ou malformé produisait donc un dégradé vide — écran noir — sur un scénario par ailleurs irréprochable.

Trouvaille supplémentaire du même passage : un heropattern bien écrit en forme legacy plate tombait aussi dans le bras fourre-tout et devenait un gradient_shift.

Chaque bras route désormais par un struct typé avec propagation d'erreur.

La classe de bug des enums untagged

width: "max-content" était injoignable parce que le fourre-tout String de Length l'absorbait avant que le variant Keyword ne soit tenté. Question posée en ouvert dans le brief : combien d'autres ?

Les 15 enums untagged du dépôt ont été balayés. Deux étaient touchés : Size (le constat) et LineHeight, où "normal" subissait exactement le même sort puis se résolvait à 0. Les deux sont corrigés. Aucun restant — les autres sont soit correctement ordonnés, soit disjoints par forme JSON.

Deux avertissements plutôt que deux rejets, et pourquoi

$ littéral. Le scan tourne désormais systématiquement — l'incohérence venait de ce qu'il ne s'exécutait que dans la branche config — mais il avertit au lieu de rejeter. Un rejet dur casserait tout document légitime contenant un $ (un prix, un $PATH dans un terminal) dès qu'il gagne un bloc config. Par construction, une variable réellement déclarée ne peut pas survivre à merge_variables sans être résolue : ce que le scan trouve encore est donc, par définition, hors du périmètre déclaré. Le rejet dur pour un override référençant une variable non déclarée — cas sans ambiguïté — est inchangé.

position. "relative" et "static" restent du CSS légitime, et un rejet casserait un usage volontaire (sortir du flux sans coordonnées). Avertissement donc — dédoublonné par valeur : prepare_scene réexécute ce Deserialize sur l'arbre entier une fois par frame, un avertissement non gardé sortirait plus de mille fois sur un rendu de 1200 frames. Chaque valeur fautive distincte garde sa ligne, une seule fois. Un test épingle ce garde.

Ce chemin par frame a une conséquence indépendante de cette PR, ouverte en issue #159 : l'arbre JSON complet est re-désérialisé à chaque image, via un enum untagged de 57 variants, sans aucun cache.

Complète la PR #158 à l'étage du dessous

deny_unknown_fields sur Animation et Keyframe — les clés à l'intérieur d'un keyframes[*], que la vague A n'avait pas le droit de toucher.

Reste ouvert

Contre le schéma complet exporté par la CLI (qui fusionne en plus l'union Component), il reste 6 violations sur 3 fichiers, toutes sans rapport avec background et présentes avant cette PR : un enfant valide au runtime ne matche pas le oneOf de Component. Je vérifie et j'ouvre une issue séparée.

Vérification

cargo test --workspace sur cette branche seule : 21 cibles, 0 échec. clippy -D warnings et fmt --check propres. Les 8 exemples : 7 valident (le huitième est l'issue #157, préexistante à main), et les 8 valident désormais contre le schéma exporté par rustmotion-core, contre 31 violations avant.